레디스로 세션관리해서 로드밸런싱하고 있는 서버 중복로그인 방지하는법 아시는분

Question

엔진엑스로 ip hash방식을 사용하여 웹서버를 로드밸런싱하고 있는데, 스프링시큐리티를 통해 중복로그인을 방지하고자합니다. 현재 ip hash때문에 다른아이피에서 접속시 서로다른 웹서버 컨테이너에 접속하게 된다면 중복로그인이 허용되는상황입니다. 그래서 레디스로 세션을 관리해서 중복로그인을 막으려고 처리하려합니다.레디스를 서버에 적용해주었고, 로그인시 레디스컨테이너에 접속해서 레디스 cli를 확인시127.0.0.1:6379> KEYS *1) &#34;spring:session:sessions:expires:8ebabc3d-9621-44ce-b365-4a96a9d093da&#34;2) &#34;spring:session:expirations:1691034060000&#34;3) &#34;spring:session:sessions:expires:c9f9b492-5ef1-4f55-a69a-fb0c1f5e7c82&#34;4) &#34;spring:session:sessions:3ad7dca7-4f20-4e42-8554-9019f617b9b6&#34;5) &#34;spring:session:sessions:expires:a086ff3d-84fb-4920-b005-a11b171fd43d&#34;6) &#34;spring:session:sessions:5029c8f7-8ea6-415a-9d29-f5c26b2e27a0&#34;7) &#34;spring:session:expirations:1691034000000&#34;8) &#34;spring:session:sessions:expires:40ee2a4a-d01b-4264-8dbf-b68a9f714256&#34;이런식으로 세션이 들어오는데, 같은아이피에서는 중복로그인방지가 처리잘되는데, 다른아이피에서는 중복로그인을 방지가 안되는데 어디를 조치해줘야하는지 아시는분계신가요? 관련코드입니다. (HttpsSessinConfig.java)(securityConfig.java)(스프링구동시키는파일)

Hee Sung Son · Answer

전 자바 개발자가 아니기 때문에 개념만 말씀드리겠습니다.로그인 정책에 따라서 다르게 구현하시면 될거같습니다.중복 로그인시 먼저 로그인한 세션을 제거한다.사용자를 식별할수 있는 id (예: uid) 와 세션을 같이 저장하여 로그인시 덮어 씌운다.기존 로그인한 사용자는 api 호출시 redis 세션과 비교하여 같지않으면 로그아웃 처리.중복 로그인시 먼저 로그인한 사용자가 있을때 로그인 거부.사용자를 식별할수 있는 id (예: uid) 와 세션을 같이 저장하고 로그인시 세션 확인.기존 사용자가 로그아웃시 세션과 id 정보를 제거.이후 로그인시는 정상진행.

냉동참치 · Answer

몇년전에 Hazelcast로 해당부분에 대한 처리를 해본적 있어서 답변드립니다.redis도 마찬가지인데 https://github.com/spring-projects/spring-security/blob/main/core/src/main/java/org/springframework/security/core/session/SessionRegistryImpl.java해당소스를 보시면 세션 디비만 레디스를 사용 할 뿐이지 실제 프로그램 security에서 이용하는 registry는 각각의 프로젝트에서 map으로 생성됩니다.해당 클래스를 extend하셔서 저부분을 redis에서 가져오는 방식으로 변경하시오 Map<구분자(ex. id), principal> 형태의 실제 비교가능한 맵 또한 추가하셔서 처리하시면 됩니다. 해당 Map을 추가하는 이유는 기존의 principals와 sessionIds에 저장된 데이터가 object형태라 문자열 처럼 신규로 로그인한 데이터와 비교할 수 없기 때문입니다.로그인 시도 > 신규로 생성한 Map에서 해당 ID가 존재하는지 확인 > 없는경우 : 로그인 진행, 이때도 각 맵에 비교용 데이터를 넣는등의 행위를 하여야 합니다.있는경우 : 신규맵에서 get(id)로 object 를 가져와서 principals의 데이터와 equals비교(==) 하여 가져온 데이터를 이용하여 처리

레디스로 세션관리해서 로드밸런싱하고 있는 서버 중복로그인 방지하는법 아시는분

2개의 답변

기술 목록